検索NeSC を見る
脆弱性・CVE速報深刻度: 高

phpMyAdmin 5.2.3 までの CVE-2026-119426・119561 ほか計 4 件: CSRF 対策の抜けで任意の SQL を実行される恐れ、WebAuthn の署名を確認せず二要素認証を回避、SQL インジェクション 2 件

World Security 編集部
AI 支援あり
目次（5）

CVE-2026-119426

CVE-2026-119561

CVE-2026-119427

CVE-2026-119562

phpMyAdmin（Web で MySQL・MariaDB を操作する管理ツール）の 5.2.3 までに、4 件の欠陥（CVE-2026-119426・CVE-2026-119561・CVE-2026-119427・CVE-2026-119562）が NVD に登録されました。登録は 2026-10-30 で、NVD は分析済み（Analyzed）としています。NVD の説明に修正版の記載はありません。

何が起きるか

  • CVE-2026-119426（CSRF）: 非 AJAX の POST で CSRF トークンの確認を回避でき、ログイン中の利用者を罠のページに誘導すると、/sql または /database/sql に sql_query を送られ、その利用者のデータベース権限で任意の SQL が実行される恐れがあります（http・config 認証の場合）。弱点の種別は CWE-352 です。
  • CVE-2026-119561（二要素認証の回避）: CustomServer::parseAndValidateAssertionResponse() が WebAuthn の署名を保存済みの公開鍵で検証していません。利用者の MySQL 認証情報を持つ攻撃者が、challenge・origin・rpIdHash が合う webauthn_request_response を送ると、第二要素を飛ばしてデータベース権限を得られる恐れがあります（CWE-347）。
  • CVE-2026-119427（SQL インジェクション）: Designer の saveSetting() で、エスケープされない json_encode() の出力から SQL を注入でき、認証済みの利用者が他の利用者の Designer 設定を上書きしたり、controluser のサブクエリを実行したりできる恐れがあります。
  • CVE-2026-119562（SQL インジェクション）: /database/central-columns の col_extra・col_attribute がエスケープされず、controluser の権限で pma__central_columns への INSERT・UPDATE に SQL を注入され、他の利用者の設定ストレージを読み書きされる恐れがあります（CWE-89）。

影響を受ける版

対象影響する版修正版
phpMyAdmin5.2.3 までNVD の記述には記載なし（未確認）

評価

CVE評価元版点数ベクターの要点
119426NVDCVSS v3.18.8AV:N/AC:L/PR:N/UI:R
119426VulnCheckCVSS v3.1 / v4.07.5 / 7.7AC:H・PR:N・UI:R
119561NVDCVSS v3.18.1AV:N/AC:L/PR:L/UI:N
119561VulnCheckCVSS v3.1 / v4.06.8 / 7.6AC:H・PR:L
119427VulnCheckCVSS v3.1 / v4.04.2 / 2.3PR:L
119562NVDCVSS v3.18.8AV:N/AC:L/PR:L/UI:N
119562VulnCheckCVSS v3.1 / v4.04.2 / 2.3AC:H・PR:L
  • 評価元で点数が大きく分かれています（NVD は 8.1〜8.8、VulnCheck は 2.3〜7.7）。利用者の操作（UI:R）や攻撃の条件（AC:H）の見方が違うためです。
  • どれも認証済みの利用者、または利用者の操作が前提で、認証なしで 9 以上のものはありません。severity は high を案とします。確定はオーナーの判断待ちです。
  • FIRST の EPSS は、取得時点（2026-11-06）で 119426 が 0.0035、119561 が 0.0020 と低い値です。CISA の KEV には、手元の状態ファイル上で掲載がありません。

対策として考えられること

  1. phpMyAdmin の新しい版が出ていれば更新します（修正版の有無は未確認）。
  2. 外部に公開している phpMyAdmin は、接続元の制限（VPN・IP 制限・Basic 認証の追加）をかけます。
  3. phpMyAdmin にログインしたまま、ほかのサイトを開かないようにします（CSRF の対策）。
  4. データベース利用者の認証情報を使い回さず、権限を必要最小限に絞ります（二要素認証の回避の被害を抑えるため）。
  5. 設定ストレージ（pmadb）の controluser の権限を見直します。

未確認の点

  • 修正版の有無と版番号、影響する版の下限。
  • 実際の悪用の有無（NVD の記述に悪用の記載はありません）。
  • 参照先の調査記事（abraxaslabs.tech）・VulnCheck の勧告の中身（本稿では開いていません）。
  • 評価元ごとの点数の差と、NVD の最終評価。

この記事について

AI の利用
本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-06）のもので、未確認の点は本文に明記しています。

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事